Splunk Cybersecurity Defense Analyst
验证使用 Splunk 进行网络安全防御分析的能力，涵盖威胁检测、安全事件调查、MITRE ATT&CK 框架应用和 Splunk ES 使用，面向 SOC 分析师的实战认证。
Splunk 2024 年新推的安全分析师认证 — SOC L1/L2 在用 Splunk ES 做日常安全监控的人考这张，纯 IT 运维或不用 Splunk 的安全工程师跳过。
JR Academy Membership
Unlock all certifications, courses & tools at a fraction of the cost
- All certification exam prep included
- Course discounts up to 50%
- AI tools & Chrome extensions
- Priority 1-on-1 coaching
What this certification covers
This page is structured for quick scanning first: exam format, fit, prep time, and the actual study scope.
Splunk Certified Cybersecurity Defense Analyst (SPLK-5001) 是 Splunk 2024 年新发布的认证，取代旧的 Splunk Certified Security Analytics Professional 路径。考试验证使用 Splunk 平台（包括 Splunk Enterprise Security / ES）进行安全监控、威胁检测和事件调查的能力。
考试规格：65 题 / 90 分钟，及格 70/100，考试费免费（Splunk 认证改革后部分考试免费），有效期 3 年。
六大考纲领域：
- 安全概念与威胁情报 — 15%：安全事件生命周期、IOC/IOA 概念、MITRE ATT&CK 战术与技术映射
- Splunk 安全监控 — 25%：SPL 安全查询（stats/timechart/rare 做异常检测）、安全数据源（Windows Event Log、Syslog、Firewall log）解析
- Splunk ES 使用 — 20%：Notable Events 审查、Risk-Based Alerting (RBA)、安全态势仪表板、Investigation 功能
- 安全事件调查 — 20%：日志关联分析、横向移动检测（PsExec/WMI/RDP 跳板）、账户泄露分析
- 告警与响应 — 12%：告警创建策略、自适应响应动作（Adaptive Response Actions）、SOAR 集成
- 合规与报告 — 8%：安全 KPI 仪表板、合规数据收集
和 SPLK-1001/1002/1003 的区别：SPLK-1001 (Core User) 考基础 SPL 搜索；SPLK-1002 (Power User) 考高级 SPL + 数据模型；SPLK-1003 (Admin) 考 Splunk 平台管理。SPLK-5001 专门考安全分析，假设你已有 Power User 水平的 SPL 能力，在此基础上叠加安全领域知识。
You will work with
After preparation
- 掌握使用 Splunk SPL 进行威胁检测和安全异常分析的核心技能
- 能够将安全事件映射到 MITRE ATT&CK 框架并制定针对性检测规则
- 熟练使用 Splunk Enterprise Security 进行 Notable Events 审查和安全调查
- 自信通过 Splunk Cybersecurity Defense Analyst（SPLK-5001）认证考试
Exam details
Who should take it
Good fit
- 在 SOC 使用 Splunk 进行日常安全监控和事件响应的安全分析师（L1/L2）
- 希望通过 Splunk 认证验证安全分析能力、提升职业竞争力的网络安全工程师
- 已持有 Splunk Core Certified User 并向安全分析方向发展的 Splunk 专业人员
- 计划从 IT 运维或系统管理转型到 SOC 安全分析师岗位的技术人员
Before you start
- 掌握 Splunk 基础搜索和 SPL 查询语言（Splunk Core Certified User 水平或同等能力）
- 具备网络安全基础知识：常见攻击类型（网络扫描、钓鱼、勒索软件）、日志分析基础
- 了解 MITRE ATT&CK 框架的基本概念（Tactics、Techniques、Procedures）
- 熟悉常见安全数据源：防火墙日志、Windows 事件日志、网络流量（NetFlow）、DNS 日志
Is it worth it? Career value
Salary ranges, target job titles, and the real career impact of holding Splunk SPLK-5001.
Splunk 在 SIEM 市场的地位：Gartner 2025 Magic Quadrant for SIEM 里 Splunk（现归 Cisco）仍在 Leaders 象限。全球 SIEM 市场 Splunk 份额约 25-30%，尤其在美国和澳洲的金融/政府/电信行业渗透率高。
SPLK-5001 的价值：SOC Analyst 岗位 JD 里最常见的两个关键词是"Splunk"和"MITRE ATT&CK"。这张认证同时覆盖两者。Indeed 2025 数据，美国标注 "Splunk" 的安全岗位约 1.2 万条，其中 60%+ 在 SOC Analyst / Security Analyst 级别。
薪资数据：Salary.com 2025，美国 SOC Analyst L2 $90-110K，带 Splunk ES 经验 + SPLK-5001 证可到 $115-140K；澳洲 SOC Analyst $95-130K AUD，Senior 到 $140-155K AUD。
不适合考的人：不用 Splunk 的安全工程师 — 如果你的 SIEM 是 Microsoft Sentinel、QRadar 或 Elastic SIEM，学 SPLK-5001 的 SPL 查询和 Splunk ES 操作在你日常工具上完全用不上。这类人考 CompTIA CySA+ 或对应平台认证更实际。
Study preparation
With hands-on AWS
From scratch
Daily pace
Learning path preview
3 chaptersStep-by-step preparation
A concrete week-by-week plan from past test-takers — not generic advice.
第一阶段：SPL 安全查询 + 数据源（2-3 周）
前提：SPLK-1002 (Power User) 级别的 SPL 能力。如果 SPL 基础薄弱，先补 `stats`、`timechart`、`eval`、`rex`、`lookup` 命令。安全查询重点：`| tstats` 加速搜索数据模型、`| stats count by src_ip dest_ip` 检测异常通信模式、`| rare` 发现低频异常事件、`| transaction` 关联同一会话的多条日志。安全数据源：Windows Security Event Log (4624/4625/4688/4720)、Syslog (firewall/IDS)、Web Access Log。
第二阶段：Splunk ES + MITRE ATT&CK（2-3 周）
Splunk ES (Enterprise Security) 是考试核心。在 Splunk Cloud trial 或 Splunk 免费版 + SA-ES app 上练习。关键操作：Notable Events 审查工作流（New → In Progress → Resolved → Closed）、Risk-Based Alerting 的 risk_score 计算逻辑、Threat Intelligence Framework (TIF) 的 IOC 导入与匹配。MITRE ATT&CK 部分：14 个 Tactics（Reconnaissance → Impact）的名称和典型 Techniques 必须认识，考试会给一个攻击描述让你判断属于哪个 Tactic。
第三阶段：事件调查场景 + 刷题冲刺（1-2 周）
安全事件调查 20% 权重 — 考题给一个场景（如"发现异常 RDP 登录"），问你下一步用什么 SPL 查询、查什么数据源、怎么判断横向移动。练习方法：Splunk BOTS (Boss of the SOC) 数据集是免费的 CTF 练习，v1/v2/v3 都有，做 1-2 套 BOTS 题目能覆盖大部分考试调查场景。最后 1 周刷 Splunk 官方 practice exam + 社区题。
Real test-taker experiences
What it actually took for real candidates to pass — prep time, scores, and lessons learned.
日常用 Splunk ES 值班 2 年。考 SPLK-5001 最意外的是 **Risk-Based Alerting (RBA)** 考得很细 — 我平时只看 Notable Events，从没配过 risk_score 规则。真考 3-4 道题问 RBA 的 risk_object 和 risk_score 累加逻辑。建议在 Splunk docs 里把 RBA 那几页读透。
有安全背景但 Splunk 只用了半年。最难的是 **SPL 安全查询要写得又快又准** — 考试 90 分钟 65 题，有些题给一段 SPL 让你判断"这个查询检测的是什么攻击行为"，不熟 SPL 管道操作符的人会在这类题上卡住。建议先拿下 SPLK-1002 再来考 5001。
Certification comparison
| Splunk SPLK-5001 | Splunk SPLK-1002 | Splunk SPLK-1003 | |
|---|---|---|---|
| Provider | 其他 | 其他 | 其他 |
| Level | 专业级 | 助理级 | 助理级 |
| Fee | $0 | $0 | $0 |
| Duration | 90 min | 90 min | 90 min |
| Question count | 65 | 65 | 65 |
| Validity | 3 yrs | 3 yrs | 3 yrs |
Study tips and common mistakes
**Splunk BOTS 是最好的免费练习** — Boss of the SOC CTF 数据集 (v1/v2/v3) 涵盖的安全调查场景和考试高度重叠。做 1-2 套能显著提分。
**90 分钟 65 题时间偏紧** — SPL 分析题需要逐行读查询，不能跳。建议概念题 60 秒以内，SPL 分析题 2 分钟。
**考试免费但需要 Splunk 账号** — 在 splunk.com/certification 注册，通过 Pearson VUE 预约。免费政策可能随时变化，约考前确认。
**MITRE ATT&CK Tactics 顺序记错** — 14 个 Tactics 有严格的攻击链顺序：Reconnaissance → Resource Development → Initial Access → Execution → Persistence → Privilege Escalation → Defense Evasion → Credential Access → Discovery → Lateral Movement → Collection → C2 → Exfiltration → Impact。考题给一个攻击行为让你选 Tactic，顺序搞混就选错。
**Notable Event 和 Alert 混淆** — Alert 是 Splunk 基础告警（saved search + 触发条件），Notable Event 是 Splunk ES 的安全事件概念（Correlation Search 触发后生成），有独立的审查工作流和 urgency/severity 字段。两者不是一个东西。
**`| tstats` 和 `| stats` 使用场景搞混** — `| tstats` 只能搜索被加速的数据模型（CIM-compliant），速度极快但功能受限；`| stats` 搜索原始数据，功能强但慢。安全场景下对 CIM 数据模型（Authentication、Network Traffic、Web）用 `| tstats` 是最佳实践。
**Windows Event ID 记不住** — 高频考的：4624 (成功登录)、4625 (失败登录)、4688 (新进程创建)、4720 (新用户创建)、4732 (用户加入本地组)、1102 (审计日志清除)。至少这 6 个必须能和安全场景对应。
FAQ
Frequently Asked Questions
If you plan to take Splunk SPLK-5001, start with real practice.
65+ questions, chapter-by-chapter learning, mock exams, wrong-question review, and AI tutor support live in the exam page.
Go to exam prepFrom $39 · 2 free chapters